Kurze Antwort
Wer im Onlineshop einen KI-Chatbot für den Kundenservice einsetzt, verarbeitet in aller Regel personenbezogene Daten von Kundinnen und Kunden — damit greift die DSGVO in vollem Umfang. Pflicht sind eine tragfähige Rechtsgrundlage nach Art. 6 DSGVO, eine aktualisierte Datenschutzerklärung, ein AVV mit dem Chatbot-Anbieter nach Art. 28 DSGVO sowie ab dem 2. August 2026 zusätzlich die KI-Kennzeichnungspflicht nach Art. 50 der EU-KI-Verordnung. Für bestehende Systeme gilt eine Übergangsfrist bis zum 2. Dezember 2026, ab dann müssen auch nachgerüstete Chatbots konform sein.
Wichtig: Ein hoher DSGVO-Score bedeutet nicht automatisch einen aufsichtsbehördlich vertretbaren Einsatz im Einzelfall. Entscheidend sind auch die konkrete Nutzung, ein AVV und interne Datenschutzprozesse.
DSGVO-Hinweis: Ein Chatbot, der Bestelldaten, Adressen oder Zahlungsinformationen verarbeitet, benötigt zusätzlich zur Datenschutzerklärung einen dokumentierten AVV, eine klare Rechtsgrundlage und im Zweifel eine Datenschutz-Folgenabschätzung.
Praxisregel für Onlineshops ✅ Chatbot beantwortet allgemeine Fragen zu Versand, Rückgabe, Produkten ohne Personenbezug — meist unkritisch. ✅ Chatbot nutzt EU-gehostete Infrastruktur mit dokumentiertem AVV — Basisanforderung erfüllt. ⚠️ Chatbot greift auf Bestellhistorie, Kundenkonto oder Zahlungsdaten zu — AVV und DSFA-Prüfung nötig. ⚠️ Chatbot entscheidet eigenständig über Rabatte, Vertragsschluss oder Rücksendungen — Art. 22 DSGVO prüfen. ⚠️ Chatbot läuft über einen US-Anbieter ohne EU-Serverstandort — Drittlandtransfer und Cloud Act gegenprüfen.
Typische Zeitersparnis durch KI-Chatbots im Kundenservice (Erfahrungswerte — individuelle Zeiten variieren):
| Aufgabe | Manuell | Mit KI-Chatbot | Einsparung |
|---|---|---|---|
| Standard-Anfragen (Versandstatus, Rückgabe) | ca. 5 Min./Anfrage | ca. 30 Sek./Anfrage | ca. 80–90 % |
| Erstsortierung von Support-Tickets | ca. 3 Min./Ticket | nahezu sofort | ca. 70–85 % |
| FAQ-Antworten außerhalb Geschäftszeiten | nicht verfügbar | rund um die Uhr | qualitativer Gewinn |
Darf ich KI-Chatbots als Online-Händler einsetzen?
Grundsätzlich ja, aber nicht ohne Vorarbeit. Für jede Verarbeitung personenbezogener Daten über den Chatbot brauchst du eine Rechtsgrundlage nach Art. 6 DSGVO; da der KI-Einsatz meist nicht zur reinen Vertragserfüllung erforderlich ist, kommt in der Praxis häufig eine Einwilligung oder ein berechtigtes Interesse mit sorgfältiger Abwägung infrage. Nach Art. 13/14 DSGVO muss deine Datenschutzerklärung den Chatbot-Anbieter als Auftragsverarbeiter benennen, Zweck und Speicherdauer nennen und auf Betroffenenrechte hinweisen. Mit dem Anbieter selbst brauchst du einen AVV nach Art. 28 DSGVO, der insbesondere ausschließt, dass deine Kundendaten zum Training fremder Modelle verwendet werden — dazu gehören auch dokumentierte TOMs wie Verschlüsselung und Zugriffskontrollen.
Trifft der Chatbot eigenständig Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung — etwa eine automatische Ablehnung einer Rücksendung oder eine individuelle Preisanpassung ohne menschliche Prüfung —, greift Art. 22 DSGVO. Eine vollautomatisierte Entscheidung ist dann nur zulässig, wenn sie für den Vertrag erforderlich ist, eine ausdrückliche Einwilligung vorliegt oder ein Gesetz sie erlaubt; in der Praxis bleibt meist nur die Einwilligung oder eine menschliche Letztentscheidung als Ausweg. Läuft dein Anbieter über einen Drittlandtransfer in die USA, solltest du zusätzlich prüfen, ob eine DPF-Zertifizierung oder Standardvertragsklauseln vorliegen. Seit dem 2. August 2026 kommt die Kennzeichnungspflicht nach Art. 50 der EU-KI-Verordnung hinzu: Nutzer müssen vor Beginn des Gesprächs klar erkennen, dass sie mit einem KI-System sprechen, nicht mit einem Menschen.
Kurz gesagt: Wenn dein Chatbot Bestell-, Kunden- oder Zahlungsdaten verarbeitet, brauchst du fast immer: (1) einen AVV mit dem Anbieter, (2) eine aktualisierte Datenschutzerklärung, die den Chatbot nennt, (3) eine sichtbare KI-Kennzeichnung direkt im Chatfenster, und (4) eine menschliche Kontrollmöglichkeit, sobald der Bot mehr tut als allgemeine Fragen zu beantworten.
DSGVO-Checkliste für den Chatbot-Einsatz
| Prüfpunkt | Erledigt? |
|---|---|
| Rechtsgrundlage nach Art. 6 DSGVO für die Datenverarbeitung geklärt | ☐ |
| Datenschutzerklärung um den Chatbot-Anbieter ergänzt | ☐ |
| AVV nach Art. 28 DSGVO mit dem Anbieter abgeschlossen | ☐ |
| Subprozessoren des Anbieters bekannt und dokumentiert | ☐ |
| Bei Drittlandtransfer: DPF-Zertifizierung oder SCCs geprüft | ☐ |
| Löschfristen für Chatverläufe dokumentiert | ☐ |
| KI-Kennzeichnung im Chatfenster sichtbar (Art. 50 EU-KI-VO) | ☐ |
| Bei automatisierten Entscheidungen: Art. 22 DSGVO geprüft | ☐ |
Wie bei unserer AVV-Checkliste für KI-Tools gilt: Je mehr offene Punkte, desto dringender solltest du den Chatbot-Einsatz vor dem produktiven Start noch einmal prüfen.
Praxisbeispiel: ChatGPT im Shopify-Shop
Ein Shopify-Shop bindet ChatGPT über eine Chatbot-App ein. Der Bot beantwortet nicht nur allgemeine Fragen zu Versand und Rückgabe, sondern greift bei Bedarf auch auf Bestelldaten der Kundin zu, um den Lieferstatus zu nennen. Damit verarbeitet der Chatbot personenbezogene Daten — der Betreiber braucht in diesem Fall mindestens:
- einen AVV mit dem Chatbot-Anbieter (bei ChatGPT: den passenden Business-/Enterprise-Tarif, nicht den privaten Plus-Tarif),
- eine Datenschutzerklärung, die den Chatbot und den Datenzugriff auf Bestellungen konkret nennt,
- eine sichtbare KI-Kennzeichnung im Chatfenster,
- und eine Prüfung, ob der Zugriff auf Bestelldaten eine Datenschutz-Folgenabschätzung erfordert.
Bezieht der Bot zusätzlich Zahlungsdaten mit ein oder trifft eigenständige Entscheidungen (z. B. automatische Rückerstattungen), kommt zusätzlich Art. 22 DSGVO ins Spiel — siehe Praxisregeln oben.
Relevante KI-Chatbot-Tools im Überblick
Hinweis: Die unten aufgeführten Tools moinAI und Lime Connect (Userlike) sind noch nicht vollständig in unserer Datenbank geprüft; die Angaben stammen aus eigener Recherche auf den jeweiligen Anbieterseiten (Stand: 2026-08).
Die folgenden DSGVO-Scores sind Risikoeinschätzungen, keine rechtlichen Bewertungen.
| Tool | Zielgruppe | DSGVO-Score | Datenresidenz / Hosting | Cloud-Act-Risiko | Preis |
|---|---|---|---|---|---|
| moinAI | Deutsche/EU-Onlineshops mit hohem Anspruch an EU-Hosting und eigenständigem Sprachmodell | nicht in unserer DB bewertet | DE nur für einzelne Subdienste, keine pauschale Zusage | im Artikel nicht geprüft | Preis auf Anfrage |
| Lime Connect (ehem. Userlike) | Shops, die Live-Chat und KI-Bot in einer Plattform kombinieren wollen | nicht in unserer DB bewertet | laut Anbieter: Deutschland | im Artikel nicht geprüft | Preis auf Anfrage |
| ChatGPT Plus | Shops, die eigene Prompt-/Bot-Flows selbst bauen statt eine fertige Chatbot-Plattform zu buchen | 5,0/10 | EU-Inferenz optional (Enterprise/API) | besteht, DPF-Teilnahme vorhanden | beim Anbieter prüfen |
| Microsoft 365 Copilot | Händler im Microsoft-Ökosystem, eher fürs interne Support-Backoffice als für den Live-Chat im Shop | 8,0/10 | EU Data Boundary optional | grundsätzlich zu dokumentieren | ab 18 €/Monat |
Warum diese Tools?
Wer Kundenanfragen zu Versandstatus, Retoure oder Produktverfügbarkeit noch komplett manuell abarbeitet, kennt das Problem: Am Wochenende und abends stapeln sich E-Mails, während der Shop längst weiterverkauft. Genau hier setzt moinAI an — der Anbieter wirbt mit einem eigenen Sprachmodell statt einer reinen OpenAI-Anbindung. Bei unserer Prüfung der öffentlichen Datenschutzerklärung (Stand: 2026-08) nennt moinAI ein Deutschland-Hosting nur für einzelne eingebundene Subdienste wie Backups und Matomo, nicht als pauschale Zusage für die gesamte Plattform; einen standardisierten AVV zum Download nennt die Seite ebenfalls nicht, für einzelne Subauftragsverarbeiter werden stattdessen Standardvertragsklauseln erwähnt. Shops, die einen dokumentierten europäischen Verarbeitungsweg brauchen, sollten Hosting-Standort und AVV-Bereitstellung vor dem Einsatz direkt beim moinAI-Team schriftlich bestätigen lassen, statt sich allein auf die allgemeine Außendarstellung zu verlassen.
Lime Connect, der 2024 umbenannte Nachfolger von Userlike, adressiert ein anderes Problem: Viele Shops wollen nicht nur einen Bot, sondern einen nahtlosen Übergang zwischen KI-Antwort und menschlichem Live-Chat, wenn die Anfrage zu komplex wird. Laut eigenen Angaben wird die Software in Deutschland entwickelt und gehostet und ist nach eigenen Angaben ISO 27001-zertifiziert (Stand: 2026-08) — für Shops mit Enterprise-Anspruch an Informationssicherheit ein naheliegender Kandidat. Einen als Standarddokument abrufbaren AVV weist die öffentliche Website nach unserer Recherche (Stand: 2026-08) nicht aus — Shops sollten die AVV-Bereitstellung vor Vertragsabschluss direkt beim Anbieter abfragen.
Wer stattdessen flexibel eigene Chat-Flows bauen will, statt eine fertige Plattform zu abonnieren, landet häufig bei ChatGPT Plus. OpenAI ist ein US-Unternehmen und nimmt nach eigenen Angaben am EU-US Data Privacy Framework teil, seit Januar 2026 lässt sich für Enterprise-Workspaces und qualifizierte API-Projekte zusätzlich eine EU-Inferenz aktivieren. Die Cloud-Act-Anwendbarkeit durch die US-Unternehmensstruktur bleibt dadurch nicht vollständig ausgeschlossen. Für bestimmte geschäftliche Tarife stellt OpenAI einen AVV bereit — vor dem Einsatz im Shop-Kontext solltest du prüfen, welcher Tarif tatsächlich einen AVV enthält, denn der reine Plus-Tarif für Privatnutzer ist dafür nicht ausgelegt.
Microsoft 365 Copilot wiederum spielt seine Stärke weniger im Live-Chat mit Endkunden aus als im internen Support-Backoffice: Antwortentwürfe, Ticket-Zusammenfassungen, Wissensdatenbank-Recherche. Als EU-Tochter eines US-Konzerns entsteht dadurch kein unmittelbares Risiko durch die US-Muttergesellschaft, die Cloud-Act-Frage bleibt aber auch hier grundsätzlich zu dokumentieren. Nach Anbieterangaben lässt sich für Copilot zusätzlich die EU Data Boundary aktivieren, die Verarbeitung und Speicherung innerhalb der EU vorsieht — das ersetzt keine eigene Cloud-Act-Prüfung im Einzelfall, kann sie aber sinnvoll ergänzen.
Wer über die hier vorgestellten Tools hinaus vergleichen will: Für spezialisierte KI-Kundensupport-Plattformen wie Zendesk AI und Intercom Fin haben wir einen separaten Direktvergleich — beide bislang ohne vollständigen DSGVO-Score in unserer Datenbank, aber mit unterschiedlicher Datenschutz-Ausgangslage bei der EU-Datenresidenz.
Was andere Tools problematisch macht
Nach unserer Recherche (Stand: 2026-08) betreiben zahlreiche günstige Chatbot-Anbieter am Markt keine eigene EU-Infrastruktur, sondern reichen Anfragen ungefiltert an US-Modelle weiter, ohne dass ein AVV oder eine transparente Datenschutzerklärung öffentlich einsehbar ist. Fehlt eine Drittlandübermittlung-Absicherung über Standardvertragsklauseln oder eine DPF-Zertifizierung, entsteht ein erheblicher zusätzlicher Prüfaufwand für den Shopbetreiber, bevor ein produktiver Einsatz vertretbar ist. Problematisch ist außerdem, wenn Anbieter nicht offenlegen, ob Chatverläufe zum KI-Training weiterverwendet werden — ein guter AVV schließt genau das explizit aus.
Gibt es eine Shopify-KI oder WooCommerce-KI für den Kundenservice?
Shopify bietet mit Sidekick und Magic eigene KI-Funktionen direkt in der Plattform an, die sich vor allem auf Produktbeschreibungen, Shop-Verwaltung und einfache Assistenzfunktionen konzentrieren — für einen vollwertigen Kundenservice-Chatbot mit Live-Übergabe reicht das nach unserer Recherche (Stand: 2026-08) allein meist nicht aus. WooCommerce hat nach unserer Recherche (Stand: 2026-08) keine vergleichbare native KI-Chatbot-Funktion, hier kommen in der Praxis Plugins oder externe Anbieter wie moinAI oder Lime Connect zum Einsatz, die sich per Schnittstelle anbinden lassen. In beiden Fällen bleibt die datenschutzrechtliche Verantwortung beim Shopbetreiber, unabhängig davon, ob die KI-Funktion nativ oder über ein Drittanbieter-Plugin läuft.
Muss ich meinen Chatbot als KI kennzeichnen?
Ja, sobald die Kennzeichnungspflicht nach Art. 50 der EU-KI-Verordnung am 2. August 2026 greift. Die Kennzeichnung muss dort erfolgen, wo Nutzer dem Chatbot tatsächlich begegnen — ein Hinweis allein in den AGB reicht nicht aus. In der Praxis hat sich erfahrungsgemäß eine Kombination aus sichtbarem Badge am Chatfenster und einer kurzen Eröffnungsnachricht („Hallo, ich bin ein KI-Assistent”) etabliert, verbindlich vorgeschrieben ist die konkrete Umsetzung damit aber nicht. Für bestehende Systeme gilt eine Übergangsfrist bis 2. Dezember 2026.
Haftet mein Shop für falsche Antworten des Chatbots?
Grundsätzlich ja. Das Oberlandesgericht Hamm entschied mit Urteil vom 12.05.2026 (Az. 4 UKl 3/25) in einem Fall aus dem Bereich ästhetische Medizin, dass ein Unternehmen für Aussagen seines KI-Chatbots haftet, auch wenn diese auf einer KI-Halluzination beruhen — der Bot wurde als Werkzeug des Unternehmens eingeordnet, nicht als unabhängiger Dritter. Übertragen auf den Onlinehandel bedeutet das: Falsche Angaben zu Preisen, Lieferzeiten oder Produkteigenschaften durch den Chatbot können dem Shop zugerechnet werden, auch über das Wettbewerbsrecht (UWG). Sinnvolle Absicherung sind klare Prompt-Vorgaben, Stichwort-Filter für risikoreiche Themen und ein dokumentierter Eskalationsweg an einen Menschen bei unsicheren Antworten.
Weiterführende Artikel
- Wie sicher ist ChatGPT für deutsche Unternehmen? Datenschutz & DSGVO 2026
- Auftragsverarbeitungsvertrag (AVV) für KI-Tools: Checkliste für KMU
- Zendesk AI vs. Intercom Fin: Welcher KI-Kundensupport ist datenschutzkonformer?
Methodik
Die DSGVO-Scores in unseren Tool-Übersichten basieren auf unserer veröffentlichten Methodik und sind Risikoeinschätzungen auf Basis öffentlich zugänglicher Datenschutzerklärungen, AVV-Dokumente und Anbieterangaben — keine rechtlichen Bewertungen im Einzelfall. Für Tools außerhalb unserer Datenbank, wie moinAI und Lime Connect in diesem Artikel, haben wir Existenz, Produktkategorie und Firmensitz direkt auf den Anbieterseiten verifiziert (Stand: 2026-08), aber noch keinen vollständigen Score vergeben; offene Punkte wie eine fehlende pauschale Hosting-Zusage oder ein nicht öffentlich dokumentierter AVV haben wir im jeweiligen Toolabschnitt benannt statt sie zu unterschlagen.
Hinweis: Diese Orientierungshilfe stellt keine Rechtsberatung dar (Stand: 2026-08).
Fazit & Empfehlung
KI-Chatbots können im Onlineshop echte Zeitersparnis im Kundenservice bringen, vor allem bei Standardanfragen zu Versand, Rückgabe und Produktverfügbarkeit — vorausgesetzt, die DSGVO-Grundlagen stimmen. AVV, aktualisierte Datenschutzerklärung, eine saubere Prüfung von Art. 22 DSGVO bei automatisierten Entscheidungen und ab August 2026 die KI-Kennzeichnungspflicht sind keine Kür, sondern Pflichtprogramm. Wer zusätzlich auf einen EU-gehosteten Anbieter mit dokumentiertem AVV setzt, reduziert das Prüfrisiko spürbar gegenüber einer ungeprüften US-Anbindung — bei Tools außerhalb unserer Datenbank lohnt sich vor Vertragsabschluss immer ein direkter Blick in die aktuelle Datenschutzerklärung des Anbieters, statt sich allein auf Marketingaussagen zu verlassen.
Du willst nicht jeden Vertrag selbst prüfen? Unsere Tooltests zeigen pro KI-Tool: AVV, DPA, KI-Training, Cloud-Act-Risiko, DSGVO-Score.
Häufige Fragen
Brauche ich für einen KI-Chatbot im Onlineshop immer einen AVV?
Sobald der Chatbot personenbezogene Daten wie Bestell- oder Kontaktdaten verarbeitet, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO in der Regel erforderlich.
Ab wann gilt die KI-Kennzeichnungspflicht für Chatbots?
Die Kennzeichnungspflicht nach Art. 50 der EU-KI-Verordnung gilt ab dem 2. August 2026, für bereits laufende Systeme mit Übergangsfrist bis 2. Dezember 2026.
Darf mein Chatbot eigenständig über Rücksendungen entscheiden?
Eine vollautomatisierte Entscheidung mit erheblicher Wirkung ist nach Art. 22 DSGVO nur mit Einwilligung, Vertragserforderlichkeit oder gesetzlicher Grundlage zulässig — häufig bleibt nur die Einwilligung oder eine menschliche Letztentscheidung.
Haftet mein Shop, wenn der Chatbot eine falsche Aussage macht?
Nach dem OLG-Hamm-Urteil vom 12.05.2026 (Az. 4 UKl 3/25) wird der Chatbot als Werkzeug des Unternehmens eingeordnet — falsche Aussagen können dem Shop zugerechnet werden, auch bei KI-Halluzinationen.
Reicht ein US-Chatbot-Anbieter mit Data-Privacy-Framework-Zertifizierung aus?
Eine DPF-Zertifizierung schafft eine rechtliche Grundlage für den Datentransfer, schließt eine Cloud-Act-Anwendbarkeit durch die US-Unternehmensstruktur aber nicht vollständig aus — das muss individuell geprüft werden.